CERT：漏洞披露政策

• 联系方式：?
• 网站：http://www.cert.org/vulnerability-analysis/vul-disclosure.cfm
• 验证日期：2017-09-21

向 CERT/CC 报告的漏洞，将在首次报告后 45 天向公众披露，无论受影响的厂商是否已提供补丁或变通方案。特殊情况，例如漏洞正被积极利用、威胁特别严重（或微不足道），或需要变更既定标准的情形，可能导致提前或推迟披露。CERT/CC 的披露将注明报告者的贡献，除非报告者另有要求。我们会告知受影响的厂商我们的发布计划，并在必要时与受影响的厂商协商调整发布时间表。

本政策的目标，是在公众了解安全漏洞的需要与厂商有时间有效应对的需要之间取得平衡。发布时间表的最终决定，将以社区整体的最大利益为依据。

向我们报告的漏洞，将在收到报告后尽快转交给受影响的厂商。除非报告者另有要求，报告者的姓名和联系方式将转交给受影响的厂商。在不泄露他人向我们保密提供的信息的前提下，我们会尽可能向报告者通报其所报告漏洞状态的重大变化。

漏洞将通过漏洞说明（Vulnerability Notes）披露。

针对美国政府网站的漏洞报告，将转交给 US-CERT，以便与政府协调。

常见问题

问：这是否意味着 CERT/CC 要走“完全披露”路线？

答：如果“完全披露”指的是分发漏洞利用程序，那么我们不会这样做。根据我们的经验，能从漏洞利用程序中受益的人数，与被恶意使用漏洞利用程序的人所伤害的人数相比，是很少的。不过，我们会披露一些我们此前可能没有披露过的漏洞信息。在资源允许的范围内，我们将尽可能多地发布漏洞信息。

问：为什么不是 30 天、15 天或立即披露？

答：我们认为，对大型组织来说，45 天已经是相当紧的期限。缩短期限并不能切实地改善问题。在没有利用迹象的情况下，无端公布漏洞未必符合公共安全的最大利益。

问：如果没有可用的修复方案，保持漏洞不公开不是更好吗？

答：漏洞经常被发现并公开，往往在厂商还没有获得合理的修复时间之前就已公开，而且披露内容常常包含可用的漏洞利用程序。根据我们的经验，如果没有负责任的、合格的漏洞信息披露，发现漏洞的研究人员、程序员、系统管理员和其他 IT 专业人员往往觉得别无选择，只能公开信息，以迫使厂商处理问题。

问：所有漏洞都会在 45 天内披露吗？

答：不会。往往有各种情况促使我们调整发布时间表。特别严重或有证据表明已被利用的威胁，很可能使我们缩短发布时间表。需要“硬性”变更（如标准变更、核心操作系统组件变更）的威胁，将使我们延长发布时间表。我们也可能不会发布向我们报告的每一个漏洞。

问：你们会公布漏洞，让厂商措手不及吗？

答：不会。在公开披露之前，我们会本着善意努力把我们的意图告知厂商。

问：如果厂商不同意你们对问题的评估，这些信息会公布吗？

答：会。我们征集并发布经过验证的厂商声明，并在漏洞说明中引用相关的厂商信息。我们不会仅仅因为厂商提供的信息与我们对问题的评估不一致而隐瞒这些信息。

问：公开披露之前，谁能获得这些信息？

答：一般来说，我们会向所有能为解决方案做出贡献、并且与我们有信任关系的人提供信息，包括厂商（通常包括产品没有漏洞的厂商）、社区专家、赞助方，以及属于国家关键基础设施的站点（如果我们认为这些站点面临风险）。

问：你们会披露每一个被报告的漏洞吗？

答：不会。我们可以自行决定拒绝协调或发布某个漏洞报告。这一决定通常基于漏洞的范围和严重程度，以及我们能否为协调和披露过程增加价值。无论我们是否协调或发布，我们都建议报告者在公开披露之前，本着善意努力通知受影响的厂商并直接与其合作。